如何禁止无凭据通过C#访问非公开AWS S3存储桶文件？

看起来你的S3存储桶或者目标文件的权限配置肯定出了疏漏——毕竟默认情况下，非公开的S3资源是必须要有有效AWS凭证才能访问的。咱们一步步排查并修复这个问题：

1. 先锁死存储桶的公共访问开关 #

首先登录AWS控制台找到你的S3存储桶，进入「权限」标签页的「阻止公共访问」设置，确保下面四个选项全部勾选：

• 阻止通过任何访问控制列表(ACL)授予对存储桶和对象的公共访问
• 阻止通过新的公共存储桶策略授予对存储桶和对象的公共访问
• 阻止通过任何公共存储桶策略授予对存储桶和对象的公共访问
• 如果存储桶具有公共策略，则阻止公共和跨账户访问

这四个开关是最基础的防护，能彻底切断所有公开访问的途径。

2. 检查并清理存储桶策略 #

同样在「权限」标签页里找到「存储桶策略」，仔细查看有没有类似这样的规则：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::你的桶名/*"
    }
  ]
}

这里的"Principal": "*"就是允许任何人访问桶里的文件，必须删掉或者修改这条策略，只给你需要的合法主体（比如特定IAM用户、角色）授予访问权限。

3. 检查单个文件的ACL权限 #

针对那个能被无密钥访问的具体文件，进入它的详情页，打开「权限」标签下的「访问控制列表」，看看有没有给「所有人（公共访问）」或者「任何经过身份验证的AWS用户」授予了「读取」权限。如果有，立即移除这些权限，只保留必要的合法访问主体。

4. 排查IAM角色/策略的过度授权 #

如果你的C#代码运行在AWS内部服务（比如EC2、Lambda、ECS）上，有可能是代码继承了所在服务关联的IAM角色权限——这个角色可能被授予了过宽的S3访问权限（比如允许访问所有S3桶）。去IAM控制台检查相关角色的权限策略，把它收紧到只允许访问特定桶和必要操作。

另外，也确认下本地环境有没有无意中配置了AWS凭证（比如环境变量、~/.aws/credentials文件），有时候这些凭证会被代码自动加载，让你误以为是无密钥访问。

5. 验证修复效果 #

修改完所有配置后，再用你的C#代码尝试无需密钥访问文件，正常情况下应该会收到AccessDenied的错误。如果还是能访问，建议清除本地的AWS凭证缓存，或者换一个完全没有AWS配置的环境测试。

内容的提问来源于stack exchange，提问作者pca1987